Список документов по информационной безопасности в организации - Форум по вопросам информационной безопасности

Вспомнил, что забыл (извиняюсь за каламбур) включить в список документов по ИБ очень полезный и важный документ: "План обеспечения непрерывности бизнес-процессов".

За точное наименование не ручаюсь, но суть документа в том, что в нём прописываются все действия и роли людей, в случае возникновения нештатных ситуаций. Например, в случае после пожара в серверной, мало кто может быстро и оперативно принять решения как и откуда восстаналивать информацию, что делать и как быть.

План же должен чётко расписать кто, что и как должен делать, куда бежать в случае чего, кому звонить и т.п.

По факту, случись скачок электроэнергии в сети, переход серверной стойки на резервное питание от UPS, и админу даётся 5-15 минут (запас UPS'а) на принятие решения, как спасти несохраненные данные, либо как минимизирвоать возможный ущерб или т.п.

Зашедший, я считаю, что всё-всё прописать в принципе не возможно: изменение программных и аппаратных средств, кадровая "текучка", периодически изменяющаяся организационная структура и изменение самой информации. Любой из этих факторов может в любое время кардинально изменить всю проделываемую Вами работу. Причём изменения возникнут в процессе Вашего творчество. А самое главное зачем всё-всё прописывать?! Если делать быстро, то это механическая работа по внедрение уже готовых "рыб". И главное мне не понятно: зачем нужна Концепция ИБ и Политика ИБ? Разниться с введёнными государственными органами документами они не могут, дублировать их ОБЩИЕ высказывания приведёт простому "размножению" бумаг, которые никому не нужны...

Согласен, прописать всё невозможно.

Но, "кадровая текучка" была, есть и будет, а вот прописать общий принцип как брать на работу, с чем знакомить по ходу работы и что делать после увольнения, например, админа ИБ, нужно,

РСД (точнее Матрица доступа) может меняться также часто,но.,. тем не менее, документ можно разработать так, что изменений не будет. Например, многие пишут в матрицу фамилии работников, но ведь можно написать должность и суть резко поменяется. Человек ушёл, а должность осталась.

Кстати, в Политику и в Концепцию можно прописать как должны регулироваться все изменения. Например, как должны корректироваться ОРД после внесения изменений в аттетованную АС.

На вопрос "Зачем всё прописывать". В любом случае прописывать всё надо. Писанина Политики и Концепции - это не просто писанина, а предварительный глубокий анализ и чёткая проработка вопросов. На словах учесть и проработать ничего невозможно, да и слаженной структуры никогда не будет.

По поводу "разнения с госстандартами". Дело в том, что стандарт он общий, для всех. Специфика конкретной организации в стандарте не учитывается. Концепция и политика этот пробел устраняют. Например, стандарт не будет описывать как нужно поступать с USB-носителем или с мобильником в ЗП. Внутренние документы это уже могут зарегламентировать.

>> Но, "кадровая текучка" была, есть и будет, а вот прописать общий принцип как брать на работу, с чем знакомить по ходу работы и что делать после увольнения, например, админа ИБ, нужно,

Да Вы по ходу идеалист которого свет не видывал!!! Как брать на работу? На мой взгляд, задачей поиска кадров должны заниматься «охотники за головами», а не сотрудники безопасности (и уж тем более админы). Тоже самое относится к процедуре увольнения. Что же касается «с чем знакомить по ходу работы»: во-первых, ход работы постоянно меняется (особенно в мелких и средних организациях), а, во-вторых, расписывать «регламенты поведения» начальникам или заместителям на мой взгляд ещё абсурднее.

>> РСД (точнее Матрица доступа) может меняться также часто,но.,. тем не менее, документ можно разработать так, что изменений не будет. Например, многие пишут в матрицу фамилии работников, но ведь можно написать должность и суть резко поменяется. Человек ушёл, а должность осталась.

В гостайне такое действие выйдет боком. А в конфе и ПДн – это действие является ярким примером «бумажной оптимизации», к которой надо стремиться, чтобы документирование не превратилось в самоцель! :-)

>> Кстати, в Политику и в Концепцию можно прописать как должны регулироваться все изменения. Например, как должны корректироваться ОРД после внесения изменений в аттетованную АС.
На вопрос "Зачем всё прописывать". В любом случае прописывать всё надо. Писанина Политики и Концепции - это не просто писанина, а предварительный глубокий анализ и чёткая проработка вопросов. На словах учесть и проработать ничего невозможно, да и слаженной структуры никогда не будет.

Да Вы прислушайтесь сами к себе: прописать всё не возможно, но прописывать всё надо. Для чего?! Я не говорю, что надо «всё на словах». Но я глубоко убеждён, что Концепция ИБ, Политика ИБ и подобные документы – лишняя трата времени и денег «на пустое», никому не нужное бумагомарательство! Оно подходит только для декларирования и рекламы, но в отношении конкретных дел оно перегружает работу и доводит её до абсурда. «Глубокий анализ и чёткая проработка вопросов» – напишите один раз грамотное Техническое задание на АС предприятия и попробуйте его выполнить.

>> По поводу "разнения с госстандартами". Дело в том, что стандарт он общий, для всех. Специфика конкретной организации в стандарте не учитывается. Концепция и политика этот пробел устраняют. Например, стандарт не будет описывать как нужно поступать с USB-носителем или с мобильником в ЗП. Внутренние документы это уже могут зарегламентировать.

Это всё указывается 1-ой или 2-мя строчками в Инструкциях пользователя или ответственного за объект, либо в каком-нибудь приказе (распоряжении) :-)

"Смайлик" спорить с Вами не буду. Свои аргументы в поддержку "миниммизации документации", я так полагаю, Вы считаете весовыми.

Одно лишь напишу. После первого серъезного инцидента ИБ Вы поймете насколько полезно заниматься "бумагомаранием".

То что не зафиксировано на бумаге, не утверждено и не подписано, носит лишь рекомендательный характер.